Como saber se o seu site está seguro (checklist de 10 minutos)
Sete verificações que qualquer dono de site consegue fazer hoje, sem instalar nada, e o que cada resultado significa na prática.
1. O cadeado aparece em todo o site?
Abra o endereço sem o https:// e veja se ele redireciona sozinho para a versão segura. Se a página abrir em HTTP, qualquer pessoa na mesma rede (Wi-Fi de aeroporto, hotel, cafeteria) consegue ler o que o visitante digita. O redirecionamento 301 e o cabeçalho HSTS resolvem isso de uma vez e são configurados no servidor.
2. O certificado está no nome certo?
Clique no cadeado e confira se o domínio listado é exatamente o seu, incluindo o www quando usado. Certificado vencido ou emitido para outro nome faz o navegador mostrar aviso vermelho — e o visitante vai embora sem comprar.
3. Existe arquivo .env ou .git acessível?
Digite o endereço do seu site seguido de /.env e de /.git/config. Se aparecer qualquer conteúdo, o problema é grave: o .env costuma guardar senha do banco e chave de API, e o .git entrega o código-fonte inteiro. A correção é remover o arquivo do diretório público ou bloquear por regra do servidor.
4. Os cabeçalhos de segurança estão ligados?
HSTS, Content-Security-Policy, X-Frame-Options e X-Content-Type-Options são instruções que o servidor manda ao navegador. Sem CSP, uma injeção de script na sua página pode roubar a sessão do cliente; sem X-Frame-Options, outro site pode colocar o seu dentro de um iframe invisível e capturar cliques.
5. O e-mail do domínio é falsificável?
Se o seu domínio recebe e-mail e não tem SPF nem DMARC publicados, qualquer pessoa consegue enviar mensagem "em nome da sua empresa". Golpes de cobrança e de nota fiscal falsa começam exatamente assim, e o prejuízo vai para a sua marca.
6. Existe banco de dados aberto na internet?
MySQL (3306), PostgreSQL (5432), MongoDB (27017) e Redis (6379) nunca devem responder fora do servidor. Um teste rápido de porta revela isso; a correção é firewall ou bind em localhost.
7. Você sabe o que mudou desde ontem?
Segurança não é foto, é filme. Um site seguro hoje pode ficar exposto amanhã porque alguém publicou um backup, renovou um certificado errado ou desativou uma regra. Sem monitoramento com histórico, o dono só descobre o problema quando o cliente reclama.
Se algo acima falhou, o próximo passo é documentar e corrigir — e depois repetir a verificação para provar que subiu. É isso que o CyberGuard AI faz em minutos: avalia, mostra a evidência, aponta a correção e guarda o antes e o depois.